TWCA 憑證更換怎麼做？中繼憑證廢止前，企業要檢查的 4 件事
TWCA 公告，原中繼憑證須在 2026 年 11 月 6 日 00:00 前廢止，使用 TWCA SSL 憑證的網站要換上重新簽發的新憑證，並安裝完整憑證鏈。起因是 TWCA 核發的部分憑證序號隨機性不足，未達國際規範要求。數位發展部表示，政府機關有 962 個機關、9,772 張網站憑證受影響，截至 11 月 2 日晚間有 926 張完成更新。這次事件沒有金鑰外洩，但沒換證的網站可能出現安全性警示。本文整理換證時最容易漏掉的地方，以及企業平時管理憑證的 4 個建議。
TWCA 這次為什麼要換憑證？
憑證有一個「序號」欄位，國際規範要求序號裡要有至少 64 位元的密碼學安全亂數，讓序號無法被預測。數位發展部說明，TWCA 把序號設計為 128 位元，但實際有效的隨機亂數只有 24 位元，沒有達到 64 位元的要求。
這個問題在 2026 年 10 月 30 日由國際社群在 Mozilla Bugzilla 通報。依規範，不符要求的中繼憑證必須廢止，所以 TWCA 改用新的中繼憑證，重新簽發用戶的網站憑證。
數位發展部表示，這件事目前沒有造成具體資安危害；資安媒體 CyberQ 也指出，這次不是瀏覽器撤銷對 TWCA 的信任，也沒有金鑰外洩。真正的風險在時間：舊中繼憑證廢止後，還沒換證的網站，使用者連線時可能看到安全性警示，甚至連不上。
影響範圍有多大？
數位發展部盤點，政府機關共有 962 個機關、9,772 張網站憑證受影響。TWCA 在 11 月 1 日已完成這 9,772 張憑證的重新產製，並寄給原申請機關的承辦人；截至 11 月 2 日晚間，完成更新的有 926 張，不到一成。
TWCA 的網站憑證也提供給民間企業使用，數位發展部呼籲各機關以及其他使用 TWCA 憑證的單位，在 11 月 6 日前完成更新。民間受影響的數量目前沒有公布。
換證時最容易漏掉的地方
TWCA 的公告寫得很清楚：這次是以原本的金鑰重新簽發憑證，收到新憑證後直接安裝即可，不用重新產生金鑰。但有一個地方一定要注意：
- 要安裝完整憑證鏈：TWCA 公告提醒，因為更換了憑證鏈，安裝時務必包含完整憑證鏈。如果只換了網站憑證、沒有換上新的中繼憑證，舊中繼憑證廢止後，連線一樣會驗證失敗。
- 網站以外的地方也要找：同一張憑證可能同時裝在網站伺服器、負載平衡設備、API 閘道或其他系統上，每一處都要換。
- 有固定憑證的 App 要提早處理：CyberQ 提醒，如果 App 或主機有做憑證固定（certificate pinning），要提早部署新的憑證鏈，避免 App 連不上後端。
企業管理憑證的 4 個建議：資褓儲存的建議
以下建議寫給負責網站、伺服器與網路設備的資訊主管與維運人員。第一項是這幾天就要做的事，後三項是平時就該準備好的做法。
- 建議一：先盤點，找出每一張受影響的憑證
換證最常出問題的地方，是不知道憑證裝在哪裡。建議先列出所有使用 TWCA 憑證的網域與主機，連同負載平衡設備、API 閘道一起清查，逐一確認新憑證與完整憑證鏈都已安裝，再用瀏覽器或檢測工具連線確認憑證鏈正確。
- 建議二：用一個儀表板看全部的憑證
靠 Excel 記錄憑證到期日，遇到這種臨時要全面換證的狀況，很難在兩三天內找齊。普鴻 ProCLM 憑證生命週期管理可以自動掃描並彙整企業內外部的憑證，到期日、發行機構與網域狀態集中在單一儀表板，下次遇到類似事件，可以馬上知道有哪些憑證要處理。
- 建議三：讓換證與驗證自動化，不靠人工壓秒
ProCLM 在每台伺服器上用代理程式自動下載、綁定並更新憑證，支援 Apache、Nginx、IIS 等主流網頁伺服器，更新後自動生效、不用手動重啟，並自動驗證網域、憑證鏈與有效期；續約異常時會用 Email 或通訊軟體通知。ProCLM 也支援多家憑證機構集中管理，必要時可以批次改向另一家憑證機構重新申請憑證。
- 建議四：把憑證集中在入口設備，換一次就好
網站很多、伺服器分散時，每台都要換證，漏掉的機會就多。Array APV 應用交付控制器內建硬體 SSL 晶片，支援 SSL 卸載與上萬組憑證，可以把網站的加解密集中在 APV 上處理；需要換證時，在 APV 上更新即可，後端伺服器不用一台一台換。
資褓儲存代理普鴻 ProCLM 與 Array APV，可以依企業的網站數量與系統架構，評估適合用 ProCLM 自動化管理憑證，或用 APV 集中處理網站加解密。想確認自家的憑證管理能不能撐過下一次全面換證，歡迎來信 marketing@datasitter.com，或來電 (02)2367-7800 分機 102 洽詢。
常見問題 Q&A（問答）
Q：TWCA 憑證還能用嗎？瀏覽器是不是不信任 TWCA 了？
A：這次不是瀏覽器撤銷對 TWCA 的信任，也沒有金鑰外洩。要處理的是舊中繼憑證將在 2026 年 11 月 6 日 00:00 前廢止，使用 TWCA SSL 憑證的網站要換上 TWCA 重新簽發的新憑證與新的憑證鏈。
Q：換證需要重新產生金鑰嗎？
A：不需要。TWCA 公告說明，這次是以原本的金鑰重新簽發憑證，收到新憑證後直接安裝即可，但安裝時務必包含完整憑證鏈。
Q：只換網站憑證可以嗎？
A：不行。如果沒有一起換上新的中繼憑證，舊中繼憑證廢止後，連線仍會驗證失敗，使用者可能看到安全性警示或無法連線。
Q：要怎麼避免下次又要臨時全面換證？
A：平時就把所有憑證集中盤點，並讓續期、部署與驗證自動化。憑證生命週期管理工具（例如普鴻 ProCLM）可以集中看到每一張憑證的狀態，到期前自動更新並驗證憑證鏈。